无法使用声明在 Firestore 规则中查询

Question

在我的 Firestore 规则中，这允许我查询所有用户“组织”的列表：

match /organizations/{orgId}{
  allow read: if request.auth.uid in resource.data.members;
}

其中 members 是一组用户 ID。

但是，如果我将其更改为使用声明：

match /organizations/{orgId}{
  allow read: if orgId in request.auth.token.organizations;
}

其中 organizations 是组织 ID 的列表。

它似乎适用于：

match /organizations/{orgId}{
  allow read: if request.auth.token.organizations[orgId] == true;
}

它将让我访问文档，但不是文档列表。有没有办法解决这个问题？

Answer 1

这不起作用，因为security rules are not filters。 （请务必阅读该链接中的文档。）另请阅读更多 here。

当您对集合（不是单个文档获取）执行查询时，查询的过滤器必须绝对匹配规则的要求，然后才能知道任何文档的内容。安全规则不会从结果中删除单个文档。在这方面，Firestore 查询是“全有或全无” - 要么所有请求的文档都提前知道匹配，要么整个查询失败。

您现在所知道的建议应该读取每个文档 ID，并单独与组织列表进行比较，以确定应该返回哪些 ID。由于规则不会执行此过滤，因此它只是简单地完全拒绝查询。

您可能应该做的只是为用户声明中的每个组织 ID 创建一个 get()。绝对可以在客户端应用程序中读取自定义声明。